ifaci 08-audit
16
pages
Latin
Documents
Le téléchargement nécessite un accès à la bibliothèque YouScribe Tout savoir sur nos offres
16
pages
Latin
Documents
Le téléchargement nécessite un accès à la bibliothèque YouScribe Tout savoir sur nos offres
HERVÉ SCHAUER CONSULTANTSCabinet de Consultants en Sécurité Informatique depuis 1989Spécialisé sur Unix, Windows, TCP/IP et InternetIFACIPrestation sécuritéBenjamin Arnault – Matthieu Hentzien – PlanHervé Schauer ConsultantsTest d'intrusionAudit sécuritéConseilFormationsCopyright Hervé Schauer Consultants 2000-2008 - Reproduction Interdite- 2 -Hervé Schauer ConsultantsSociété de conseil en sécurité informatique depuis 1989Prestations intellectuelles d'expertise en toute indépendancePas de distribution, ni intégration, ni infogérance, ni investisseurs, ni délégation de personnelPrestations : conseil, études, audits, tests d'intrusion, formationsDomaines d'expertiseSécurité Windows / Unix et Linux / embarquéSécurité des applicationsSécurité des réseauxTCP/IP, téléphonie, réseaux opérateurs, réseaux avionique, VoIP, etc.Organisation de la sécuritéCertificationsCISSP, ProCSSI, GIAC GCFAISO 27001 Lead Auditor et Lead Implementer, IRCA, ITILCopyright Hervé Schauer Consultants 2000-2008 - Reproduction Interdite- 3 -Test d'intrusionPrestation très techniqueVise à simuler la compromission d'un système d'informationAu moyen d'une "intelligence humaine"PourProuver que la sécurité mise en place est insuffisanteMettre à l'épreuve la sécurité d'un environnement et qualifier sa résistance à un certain niveau d'attaqueRévéler des problèmes issus d'une incohérence entre différents ...
Voir
HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet
IFACI
Prestation sécurité
Benjamin Arnault – Matthieu Hentzien <Benjamin.Arnault@hsc.fr> – <Matthieu.Hentzien@hsc.fr>
Audit sécurité
Conseil
Formations
Plan
-2 -
Hervé Schauer Consultants
Test d'intrusion
Hervght pyriCo
Hervé Schauer Consultants
Sécurité Windows / Unix et Linux / embarqué Sécurité des applications Sécurité des réseaux TCP/IP, téléphonie, réseaux opérateurs, réseaux avionique, VoIP, etc. Organisation de la sécurité Certifications
CISSP, ProCSSI, GIAC GCFA ISO 27001 Lead Auditor et Lead Implementer, IRCA, ITIL
-3 -
Société de conseil en sécurité informatique depuis 1989
Prestations intellectuelles d'expertise en toute indépendance
Pas de distribution, ni intégration, ni infogérance, ni investisseurs, ni délégation de personnel Prestations : conseil, études, audits, tests d'intrusion, formations
Domaines d'expertise
2-00 800tnat02 sucodonti -prRehg teHvroCypirr Consulé Schauediernt Ite
Test d'intrusion
Vise à simuler la compromission d'un système d'information
Prestation très technique
Révéler des problèmes issus d'une incohérence entre différents composants
Permet de sensibiliser
-4 -
Au moyen d'une "intelligence humaine"
Pour
Prouver que la sécurité mise en place est insuffisante
Mettre à l'épreuve la sécurité d'un environnement et qualifier sa résistance à un certain niveau d'attaque
Test d'intrusion
Trois approches
Interne
Application Avec le code source à disposition
Sites web A partir du laboratoire HSC Avec informations d'identification ou non Audit applicatif à caractère intrusif
Réseau interne Connecté directement au réseau ou via un poste client Externe
Connexion directe au réseau des consultants
Test sur un réseau d'entreprise (domaine bancaire)
Compromission des domaines Windows
Contrôle total sur deux serveurs AS/400
4 jours de prestation
Résultat
Découverte d'un déni de service sur les agents de supervision des postes clients
Test d'intrusion interne
Compromission distante des bases de données (4 sur 5)
Contrôle total sur les postes disposant de client de prise en main à distance
Test sur un site web
Test d'intrusion externe
-7 -
6 jours de prestation répartis sur 2 semaines
2
1. connexion au serveur 2. compromission de l'application web puis du serveur
1
4
Test d'intrusion externe
4
4
4
3
4 4
4
3. Rebond vers le serveur de gestion des pare-feu 4. Connexion à la console d'administration en utilisant un mot de passe trivial
dorpitcuI noretntedi- 8 -pyCoahcS évreH thgirnts ultaConsuer eR 8- 2-000200
Contrôle total des pare-feu au niveau mondial !
Test d'intrusion externe
Compromission du serveur web par exploitation locale
Compromission de la console d'administration des pare-feu
Résultats
Compromission de l'applicatif web
Consultation des données d'un autre assuré
Usurpation de session « professionnel de santé »
Injection permettant de lister les identifiants Blocage de comptes via tentatives d'authentification
Contenu du dossier médical Fichiers joints Déni de service sur l'authentification
5 jours d'audit
Résultats
Audit applicatif à caractère intrusif
Test sur une application sensible traitant des données médicales
Enquêtes forensiques
Processus
Organisationnels (ISO 27001)
Architectures réseaux (filaires et sans fil)
PABX et VoIP
Serveurs et de systèmes d'exploitation
Architectures applicatives, audit d'applications et audit de code
Vision claire et exhaustive de la sécurité
Prestation technique et/ou organisationnelle
Infrastructures d'accès à l'Internet, d'extranets, d'accès distants
Sur
Audit sécurité
oCypirhg teHrvé Schauer Consatlu stn0002002- -8 Re odprtiuc- ditenteron I- 11
